zamiana liter podobnych

Zamiana liter podobnych to technika maskowania tekstu wykorzystywana w spamie i phishingu do omijania filtrów.

Na czym polega zamiana liter podobnych

Zamiana liter podobnych, określana także jako wykorzystanie znaków homoglifowych lub podobnych wizualnie, polega na zastąpieniu prawidłowych znaków innymi znakami, które wyglądają niemal identycznie. W tekście łacińskim można na przykład użyć cyfry „0” zamiast wielkiej litery „O”, małej litery „l” zamiast wielkiej litery „I” albo znaku pochodzącego z alfabetu greckiego lub cyrylicy zamiast odpowiadającego mu znaku łacińskiego. Dla człowieka taki zapis może wyglądać jak zwykła literówka albo prawidłowa nazwa, natomiast komputer przechowuje te znaki jako różne wartości.

Technika jest wykorzystywana między innymi w spamie, phishingu i fałszywych adresach internetowych. Celem może być ukrycie słowa kojarzonego z oszustwem, utrudnienie działania prostego filtra wyszukującego dokładny ciąg znaków albo stworzenie nazwy domeny przypominającej domenę prawdziwej organizacji. Istotne jest rozróżnienie między podobieństwem wizualnym a równoważnością techniczną: dwa znaki mogą wyglądać tak samo na ekranie, ale mieć różne punkty kodowe Unicode, różne właściwości alfabetu i różne znaczenie dla programu.

Unicode, punkty kodowe i znaki konfuzowalne

W systemie Unicode każdy znak jest identyfikowany przez punkt kodowy. Łacińska wielka litera „A”, grecka wielka litera „Α” oraz cyrylicka wielka litera „А” są odrębnymi znakami, mimo że w wielu krojach pisma wyglądają podobnie. Tego rodzaju pary lub grupy znaków określa się jako confusables, czyli znaki potencjalnie mylące wizualnie. Podobny problem może dotyczyć znaków diakrytycznych, nietypowych spacji, znaków sterujących oraz różnych sposobów zapisania pozornie tego samego tekstu.

Podczas analizy tekstu znaczenie ma normalizacja Unicode. Formy NFC i NFD mogą przedstawiać niektóre znaki akcentowane w odmienny sposób: jako pojedynczy znak złożony albo jako znak podstawowy i osobny znak łączący. Normalizacja pomaga porównywać tekst w sposób przewidywalny, ale sama nie rozwiązuje problemu zamiany znaków między alfabetami. Automatyczne przekształcanie wszystkich podobnych znaków do jednego alfabetu mogłoby zniszczyć poprawną treść, dlatego system powinien najpierw wykrywać ryzyko, a dopiero potem stosować reguły zależne od kontekstu.

Przydatnym sygnałem jest mieszanie alfabetów w jednym słowie lub adresie. Nazwa zawierająca większość znaków łacińskich i pojedynczy znak cyrylicki może wymagać dodatkowego sprawdzenia, zwłaszcza gdy występuje w wiadomości nakłaniającej do logowania, płatności albo otwarcia załącznika. Nie każdy tekst wieloalfabetowy jest złośliwy, ponieważ może zawierać nazwy własne, cytaty lub treści wielojęzyczne. Ocena powinna więc uwzględniać nie tylko wygląd znaków, ale również źródło wiadomości, adres nadawcy, domenę i żądane działanie.

Jak rozpoznawać maskowanie w wiadomościach i adresach

Najprostsza kontrola polega na porównaniu tekstu widocznego na ekranie z jego reprezentacją znakową. W przypadku adresu internetowego trzeba sprawdzić pełną nazwę domeny, a nie tylko tekst wyświetlany w wiadomości. Link może mieć opis sugerujący prawidłową stronę, podczas gdy rzeczywisty adres prowadzi do innej domeny. W domenach międzynarodowych używa się mechanizmu IDNA, który pozwala zapisywać nazwy z określonych alfabetów w postaci ASCII określanej jako A-label, często rozpoczynającej się od prefiksu „xn--”. Taki zapis może ułatwić techniczną kontrolę domeny.

Filtr poczty lub przeglądarka mogą stosować kilka warstw oceny: dekodowanie treści, normalizację Unicode, wykrywanie mieszania skryptów, porównanie z listami znanych domen oraz analizę reputacji nadawcy i odnośnika. Reguła oparta wyłącznie na wyszukiwaniu słowa jest niewystarczająca, ponieważ zmiana jednego znaku powoduje, że tekst przestaje być identyczny z poszukiwanym wzorcem. Z drugiej strony sama obecność nietypowego znaku nie jest dowodem oszustwa. Wiarygodna detekcja powinna łączyć cechy tekstu z kontekstem wiadomości i zachowaniem odnośnika.

Użytkownik powinien zwracać uwagę na adresy różniące się od oczekiwanej domeny jednym znakiem, nietypową pisownię nazwy firmy, niespodziewane przekierowanie oraz prośbę o podanie hasła lub kodu jednorazowego. Nie należy potwierdzać bezpieczeństwa strony wyłącznie na podstawie kłódki w przeglądarce, ponieważ szyfrowane połączenie HTTPS nie oznacza, że witryna należy do właściwej organizacji. Bezpieczniejsza weryfikacja polega na samodzielnym wpisaniu znanego adresu, użyciu wcześniej zapisanej zakładki albo skontaktowaniu się z nadawcą innym kanałem.

Postępowanie po wykryciu podejrzanego zapisu

Jeżeli zamiana liter pojawia się w wiadomości, należy unikać klikania odnośnika i otwierania załączników do czasu sprawdzenia źródła. Podejrzaną wiadomość można oznaczyć jako spam lub phishing w używanym programie pocztowym, zachowując informacje potrzebne do analizy, takie jak nadawca, temat i pełny adres linku. Jeżeli doszło już do logowania na podejrzanej stronie, hasło należy zmienić na właściwej witrynie, a aktywne sesje i uwierzytelnianie wieloskładnikowe sprawdzić zgodnie z możliwościami danego konta.

Na laptopie lub komputerze PC warto sprawdzić historię przeglądarki, zapisane rozszerzenia, ustawienia strony startowej, powiadomienia witryn oraz reakcję programu zabezpieczającego. Samo usunięcie wiadomości nie usuwa skutków uruchomienia pobranego pliku ani instalacji niechcianego dodatku. Diagnostyka powinna rozdzielać problem treści wiadomości od ewentualnych zmian w systemie: innego postępowania wymaga pojedynczy podejrzany e-mail, a innego powtarzające się przekierowania, nieznane procesy lub samoczynne otwieranie stron.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego w przypadku problemów z działaniem systemu po kontakcie z podejrzaną wiadomością można zlecić diagnostykę urządzenia oraz ocenę jego konfiguracji. Wnioski powinny wynikać z rzeczywistych objawów i zapisów systemowych, a nie wyłącznie z podobieństwa pojedynczych liter w otrzymanym tekście.